Threat Intelligence (TI) разделяется на три уровня: тактический, оперативный и стратегический. Каждый из них предназначен для разных задач и потребителей. Тактические данные используются SOC в часовом цикле, оперативные данные для расследований и хантинга применяются в недельном горизонте, а стратегическая информация необходима CISO для планирования на квартал.
Основная проблема внедрения TI заключается в попытке использовать единый поток данных для всех уровней. Это приводит к появлению избыточного шума в работе SOC и отсутствию полезной аналитики для руководства. Эффективная работа с TI требует разделения информации на специализированные продукты, соответствующие конкретным процессам, а не попыток закрыть все потребности одним набором индикаторов.
Методологии TI определяют ценность информации через её способность помогать в принятии решений. В состав TI входят индикаторы компрометации, тактики и техники противника (TTP), результаты расследований и рекомендации по сдерживанию угроз. Качественная интеграция TI помогает снизить риски при принятии решений, выступая инструментом навигации, а не заменой для существующих процессов и инструментов безопасности.
